Silicon Labs では、セキュリティ研究コミュニティ、顧客、パートナーと協力して、責任を持ってタイムリーに脆弱性を特定し、対処することに尽力しています。CVE 番号付け機関（CNA）として、Silicon Labs は脆弱性の開示と管理に関する業界慣行に従い、プロセス全体を通して透明性と説明責任を確保します。
このFAQページは、潜在的なセキュリティ問題の報告方法、開示プロセス中に予想されること、および脆弱性開示の処理方法について明確なガイダンスを提供することを目的としています。研究者、開発者、顧客のいずれであっても、安全なエコシステムの維持にご協力いただきありがとうございます。
脆弱性を報告する
製品セキュリティの脆弱性を報告するには、当社の安全な脆弱性報告フォームを通じて詳細を送信するか、product-security@silabs.comまで PSIRT に電子メールでご連絡ください。 脆弱性の詳細な説明、再現手順、および補足資料（概念実証コードなど）を含めてください。安全な通信のために、PSIRT PGPキーを使用してください。当社では、 責任ある開示を推奨しています。報告を受け取った後、3営業日以内に確認の連絡をいたします。
以下を提供してください。
- 脆弱性の明確な説明
- 影響を受けた製品とバージョン
- 問題を再現するためのステップ。
- 潜在的な影響（データ侵害、システム侵害など）。
- 概念実証コードまたはスクリーンショット（該当する場合）
- フォローアップのための連絡先情報
- 帰属情報（帰属を希望する場合
これにより、当社のPSIRTは問題を迅速に評価し、対処することができます。
はい、匿名での提出を受け付けています。ただし、連絡先情報を提供することで、明確化のためのフォローアップが可能となり、該当する場合はBug Bounty Programへの参加資格について話し合うことができます。
開示プロセス
開示： 当社は、登録ユーザーに脆弱性を通知するセキュリティアドバイザリを発行します。セキュリティアドバイザリ通知のサインアップ方法については、ここをクリックしてください。
はい。当社は、連携した脆弱性開示の原則に従います。当社では、報告者と協力して、公開前に脆弱性を検証して修正を行い、顧客へのリスクを最小限に抑えます。当社では、利用可能な修正とともにセキュリティアドバイザリを公開することを目指しています。場合によっては、修正がリリースされないことがあります。
Silicon Labs がセキュリティアドバイザリをリリースすると、そのアドバイザリは、メッセージボード、ソーシャルメディア、ダイレクトメッセージ、またはその他の非公式チャネルを通じて配布することはできません。しかし、研究者は、公表されたCVE（共通脆弱性識別子）を自分のコミュニケーションまたは出版物で参照することができます。
以前に公開されたセキュリティアドバイザリは、コミュニティポータルで確認できます（ログインする必要があります）。製品カテゴリに基づいてセキュリティアドバイザリをフィルタリングできます。このトピックの詳細については、こちらをご覧ください。
新しいセキュリティアドバイザリが公開された際に電子メールで通知を受け取るために、ここで登録できます。公開されたすべてのセキュリティアドバイザリにアクセスできますが、通知の登録をする際に選択した製品カテゴリで新しいアドバイザリが公開された場合にのみ通知を受け取ります。
バグ・バウンティ・プログラム
はい。Bug Bounty Programは、脆弱性の深刻度と影響に基づいて、対象となる提出に報酬を払います。資格、対象範囲、報酬の詳細については、Bug Bounty Program ムのページをご覧ください。
対象となる脆弱性には、当社のエンタープライズ・ソフトウェア、半導体製品、ファームウェア、または関連ソフトウェアに影響を与える脆弱性が含まれます。当社が報酬を支払った一般的な脆弱性には、いかに関連するものがあります。
- リモートコード実行
- 特権エスカレーション
- メモリ破損
- 暗号上の欠陥
- バッファ・オーバーフロー
対象とならない問題には、影響の少ないバグ（例：軽微な誤設定）が含まれます。詳細については、プログラムの対象範囲をご覧ください。
Silicon Labs のBug Bounty Programに参加し、調査結果を提出する方法については、ここをご覧ください。
企業関連の質問
企業資産におけるセキュリティの脆弱性は、Bug Bounty Programを通して報告してください。PSIRTは製品セキュリティの脆弱性に固有のチャネルであるため、PSIRTに電子メールを送信しないでください。資格、対象範囲、報酬の詳細については、Bug Bounty Program ムのページをご覧ください。
一般的な質問
当社の製品セキュリティインシデント対応チーム（PSIRT）は、当社製品のセキュリティ脆弱性の特定、評価、および解決を管理します。当社は、適時の修正と透明性のあるコミュニケーションを確保するために、研究者、顧客、パートナーと連携します。
当社は、業界標準と内部評価を組み合わせて修正の優先付けを行います。共通脆弱性スコアリングシステム（CVSS）を使用して、各問題の深刻度を評価します。重大な脆弱性は最優先され、90日以内に開示して解決することを目指しています。
はい、当社はCNA（CVE Numbering Authority）です。これにより、必要に応じて確認された脆弱性にCVEを割り当てることができ、セキュリティ問題の公開が可能になります。当社は、各セキュリティアドバイザリに関連するCVE番号を記載します。
当社は、データのプライバシーを真剣に受け止めています。報告は機密扱いされ、安全に保管され、解決に関与するチームメンバーのみと共有されます。暗号化された送信には、PSIRT PGPキーを使用します。詳細については、当社のセキュリティ脆弱性開示ポリシーおよびプライバシー通知を参照してください。
